Comment gérer les autorisations de contrôle d'accès dans DMS - Data Management

Catégories d'autorisations

DMS répartit les autorisations en trois catégories :

Catégorie	Éléments contrôlés
Autorisations d'opération	Actions que les utilisateurs peuvent effectuer sur les ressources : connexion, requête, exportation et modification.
Autorisations de données (autorisations du propriétaire de la ressource)	Propriété d'une ressource, y compris la capacité d'accorder et de révoquer l'accès.
Contrôle d'accès aux métadonnées	Visibilité des ressources : détermine si les utilisateurs non autorisés peuvent voir ou demander l'accès.

Autorisations d'opération

Les autorisations d'opération régissent les actions qu'un utilisateur peut entreprendre avec une ressource. Les types disponibles sont les suivants :

Type d'autorisation	Description	Hébergement de sécurité requis
Autorisations sur les instances de base de données — Connexion	Se connecter à une instance de base de données à l'aide du compte et du mot de passe gérés par votre entreprise.	Non
Autorisations sur les instances de base de données — Performances	Afficher les détails des performances d'une instance de base de données. Pour plus d'informations, consultez Afficher les détails des performances d'une instance de base de données.	Oui
Autorisations sur les instances de base de données — Données	Interroger, exporter et modifier les données d'une instance de base de données, à l'exception des colonnes sensibles et des lignes pour lesquelles le contrôle d'accès est activé.	—
Autorisations sur les bases de données	Interroger, exporter et modifier les données d'une base de données, à l'exception des colonnes sensibles et des lignes pour lesquelles le contrôle d'accès est activé.	—
Autorisations sur les tables	Interroger, exporter et modifier les données d'une table, à l'exception des colonnes sensibles et des lignes pour lesquelles le contrôle d'accès est activé.	—
Autorisations sur les colonnes sensibles	Interroger, exporter et modifier les données d'une colonne sensible. Avant de faire votre demande, assurez-vous que la fonctionnalité de protection des données sensibles est activée et que vous disposez des autorisations sur la base de données et la table parentes.	—
Autorisations sur les lignes	Interroger, exporter et modifier les données d'une ligne. Pour les détails de configuration, consultez Configurer le contrôle d'accès au niveau des lignes. Avant de faire votre demande, assurez-vous que vous disposez des autorisations sur la base de données et la table parentes.	—
Autorisations sur les objets programmables	Interroger, exporter et modifier les données d'un objet programmable. Pour plus d'informations, consultez Modifier des objets programmables à l'aide de routines stockées.	Oui

Signification des termes requête, exportation et modification dans DMS :

Requête : exécuter des instructions de requête dans la console SQL.
Modification : exécuter des instructions de modification dans la console SQL et soumettre des tickets de modification de données ainsi que des tickets de synchronisation de bases de données et de tables. Cela ne signifie pas que vous pouvez modifier les données sans approbation. Les administrateurs DMS peuvent restreindre les types d'instructions autorisées dans la console SQL.
Exportation : soumettre des tickets d'exportation de données. Cela ne signifie pas que vous pouvez exporter les données sans approbation.

Autorisations de données (autorisations du propriétaire de la ressource)

Les autorisations de données accordent la propriété d'une ressource. Un propriétaire peut consulter les utilisateurs disposant d'un accès, accorder des autorisations à des utilisateurs, révoquer les autorisations d'utilisateurs et interroger les données de la ressource (à l'exception des colonnes sensibles et des lignes pour lesquelles le contrôle d'accès est activé).

Il existe trois rôles de propriétaire : propriétaire de l'instance, propriétaire de la base de données et propriétaire de la table.

Si l'hébergement de sécurité est désactivé pour une instance de base de données, seuls les administrateurs DMS et les administrateurs de base de données (DBA) peuvent ajouter ou supprimer des propriétaires d'instance. Pour gérer les propriétaires d'instance, faites un clic droit sur l'instance de base de données dans la section Database Instances du volet de gauche de la console DMS, puis choisissez Instance Owner > Set Owner .

Contrôle d'accès aux métadonnées

Le contrôle d'accès aux métadonnées limite la visibilité des ressources :

Contrôle d'accès à l'instance : seuls les utilisateurs autorisés peuvent interroger ou accéder à l'instance de base de données. Les utilisateurs non autorisés ne peuvent pas demander l'accès.
Contrôle d'accès à la base de données : seuls les utilisateurs autorisés peuvent interroger ou accéder à la base de données. Les utilisateurs non autorisés ne peuvent pas demander l'accès.
Contrôle d'accès utilisateur : l'utilisateur ne peut interroger ou accéder qu'aux ressources pour lesquelles il dispose déjà d'autorisations. L'utilisateur ne peut pas demander d'autorisations sur d'autres instances de base de données ou bases de données.

Le fait de disposer de n'importe quel type d'autorisation d'opération ou d'autorisation de données sur une instance de base de données ou une base de données équivaut à posséder des autorisations sur cette ressource.

Considérations

Important

En mode Security Collaboration, DMS considère les instructions DML (telles que UPDATE, DELETE et INSERT) contenant des sous-requêtes SELECT comme des opérations de lecture de données potentielles. Vous devez disposer des autorisations d'exportation sur les bases de données et les tables référencées dans la sous-requête.

Cette politique empêche les utilisateurs de contourner le processus d'approbation des exportations de données via des instructions DML (par exemple, INSERT INTO a SELECT * FROM b), protégeant ainsi la sécurité des données.

Scénarios typiques

Les instructions DML suivantes déclenchent des vérifications des autorisations d'exportation :

UPDATE ... SET ... WHERE col IN (SELECT ...) : des autorisations d'exportation sont requises pour les bases de données et les tables référencées dans la sous-requête.
DELETE FROM table WHERE col = (SELECT ...) : des autorisations d'exportation sont requises pour les bases de données et les tables référencées dans la sous-requête.
INSERT INTO a SELECT * FROM b : des autorisations d'exportation sont requises pour la table source.

Solution

Si une vérification des autorisations d'exportation échoue lors de l'exécution de l'une des instructions DML précédentes, demandez des autorisations d'exportation sur les bases de données et les tables référencées dans la sous-requête. Soumettez un ticket d'autorisation pour solliciter ces droits d'exportation. Pour plus d'informations, consultez Demander des autorisations via un ticket.

Qui peut gérer les autorisations

Le tableau suivant indique les actions possibles pour chaque rôle :

Action	Utilisateurs standards	DBA	Administrateurs DMS
Demander des autorisations via un ticket	Oui
Gérer les autorisations via la gestion des instances		Oui	Oui
Activer le contrôle d'accès aux métadonnées pour les instances et les bases de données		Oui	Oui
Accorder ou révoquer des autorisations sur n'importe quelle ressource via la gestion des utilisateurs			Oui
Activer le contrôle d'accès pour un utilisateur			Oui

Pour plus d'informations sur le chemin de gestion de chaque rôle :

DBA et administrateurs DMS : Gérer les autorisations en tant qu'administrateur DMS ou DBA
Administrateurs DMS (gestion des utilisateurs) : Gérer les autorisations en tant qu'administrateur DMS
Activer le contrôle d'accès aux métadonnées : Activer le contrôle d'accès aux métadonnées
Activer le contrôle d'accès pour un utilisateur : Activer le contrôle d'accès pour un utilisateur

Pour vérifier votre rôle, consultez Voir les rôles système.

DMS enregistre toutes les opérations de modification des autorisations dans les journaux d'opérations, à l'exception des modifications apportées au contrôle d'accès aux métadonnées. Les opérations enregistrées incluent la demande, l'octroi, la libération et la révocation des autorisations. Pour afficher les journaux d'opérations, choisissez Security and disaster recovery (DBS) > Operation Audit dans la barre de navigation supérieure, puis cliquez sur l'onglet Operation Logs .

Demander des autorisations via un ticket

Les utilisateurs DMS, à l'exception de ceux pour lesquels le contrôle d'accès est activé, peuvent soumettre un ticket pour demander des autorisations sur une ressource.

Soumettre un ticket d'autorisation

Connectez-vous à la console DMS V5.0.
Placez le pointeur sur l'icône dans le coin supérieur gauche et choisissez All Features > Security and disaster recovery (DBS) > Permission Center > Permission Tickets.

Si vous utilisez la console DMS en mode normal, choisissez Security and disaster recovery (DBS) > Permission Center > Permission Tickets dans la barre de navigation supérieure.
Sur la page Access applyTickets, cliquez sur Access apply et sélectionnez un type d'autorisation dans la liste déroulante.

Sur la page Access apply Tickets, sélectionnez la ressource et configurez les autorisations :

Sélectionnez une ressource en fonction de l'état de l'hébergement de sécurité de l'instance de base de données :

Catégorie	Types d'autorisations pris en charge	Procédure de sélection
Gestion sécurisée désactivée	Instances-Login	Saisissez l'endpoint ou le nom de l'instance de base de données dans la zone de recherche et cliquez sur Search. Sélectionnez l'instance dans les résultats, puis cliquez sur l'icône pour l'ajouter à la section Confirm selected instance.
Gestion sécurisée activée	Instances-OWNER, Database-OWNER, Table-OWNER, Instances-Permission, Instances-Performance, Database-Permission, Table-Permission, Programmable Object, Row-Permission, Sensitive Column-Permission	Saisissez le nom de la base de données dans la zone de recherche et cliquez sur Search. Utilisez `%` comme caractère générique pour une correspondance floue (par exemple, `dms%test`). Sélectionnez la base de données dans les résultats, puis cliquez sur l'icône pour l'ajouter à la section Selected Databases/Tables/Columns.

Sélectionnez les autorisations. Choisissez parmi les autorisations de connexion, de requête, d'exportation et de modification, définissez la période de validité et saisissez la raison de la demande.

Cliquez sur Submit. Le ticket passe à l'étape d'approbation.
Une fois le ticket approuvé, le système accorde automatiquement les autorisations demandées.

Flux d'approbation

L'approbateur dépend du mode de gestion de l'instance de base de données :

Mode Security Collaboration : le processus d'approbation est personnalisable.
Hors mode Security Collaboration :
- Si l'hébergement de sécurité est désactivé : vous ne pouvez demander que des autorisations de connexion. L'approbateur par défaut est le DBA de l'instance de base de données.
- Si l'hébergement de sécurité est activé : l'approbateur est le propriétaire de la ressource. Si aucun propriétaire de ressource n'est défini, l'approbateur est le DBA de l'instance de base de données.

Data Management:Gérer les autorisations